LONDON (IT BOLTWISE) – Sicherheitsforscher berichten von einer neuen Angriffswelle, die gezielt Qlik Sense Server erreichen will. In einem kurzen Zeitfenster von etwas mehr als drei Minuten sollen PowerShell-basierte Reverse-Shell-Befehle in mehrere Umgebungen eingeschleust worden sein. Dabei wurden mehrere bereits gepatchte Qlik-Sense-Schwachstellen mit hohen CVSS-Werten als mögliches Einfallstor eingeordnet. Unklar bleibt noch, welche konkrete Lücke am Einstieg beteiligt war.
In vielen Unternehmen sind Qlik Sense Installationen längst nicht mehr nur ein Analyse-Front-End, sondern ein zentraler Bestandteil der Daten-Workflows. Genau diese Rolle macht die Systeme für Angreifer attraktiv: Wer die Backend-Komponenten erreicht, kann potenziell Rechte ausweiten, Requests im Kontext der Anwendung ausführen und darüber weitere Schadsoftware nachladen. Für die in der aktuellen Meldung beschriebene Aktivität zeichnet sich allerdings ein Muster ab, das weniger auf sofortigen „Hands-on“-Erfolg setzt, sondern eher auf präzise Vorarbeit: PowerShell Reverse Shells wurden zwar versucht zu installieren, jedoch blockierte die Umgebung die direkte Ausführung der interaktiven Verbindung. Gleichzeitig lieferten Test- und Analyseindikatoren Hinweise darauf, wofür die Kommunikationsstrecke dennoch genutzt wird.
Konkret ordnen die beteiligten Research-Teams die Aktivitäten in den Oktober 2026 ein. Die Beobachtung soll sich auf mehrere EU-basierte Kunden innerhalb eines sehr engen Fensters von etwas mehr als drei Minuten konzentriert haben. In der beschriebenen Technik steckt eine Brücke zu bekannten Vorläufern: Es gibt Überschneidungen mit einer Kampagne aus dem November 2023, die in Verbindung mit CACTUS-Ransomware dokumentiert wurde und bei der Angreifer vermutlich damals neu offengelegte Qlik-Sense-Schwachstellen ausnutzten, um zunächst in Zielumgebungen zu gelangen. Damals wie heute spielt die entscheidende Phase „Initial Access“ die Hauptrolle, denn wer sie beherrscht, kann im zweiten Schritt Payloads nachladen, persistente Zugänge etablieren und Remote-Control-Mechanismen vorbereiten.
Technisch werden dabei mehrere Qlik-Sense-Schwachstellen genannt, die zwischen August und September 2023 gepatcht wurden. CVE-2023-41265 (CVSS 9,6) wird als HTTP-Tunneling-Schwachstelle beschrieben: Sie kann zu Privilege Escalation führen und es Angreifern ermöglichen, HTTP Requests im Backend-Serverkontext der Repository-Anwendung auszuführen. CVE-2023-41266 (CVSS 8,2) wird als Path-Traversal-Problem eingeordnet, das auch einen unauthentifizierten Remote-Angreifer befähigen kann, eine anonyme Session zu erzeugen und HTTP-Requests an nicht autorisierte Endpoints zu senden. Ebenfalls relevant ist CVE-2023-48365 (CVSS 9,6), eine unauthentifizierte Remote-Code-Execution, die auf fehlerhafter Validierung von HTTP-Headers beruht. Wichtig ist die zusätzliche Kontextnotiz, dass CVE-2023-48365 (auch „DoubleQlik“) als unvollständige Behebung von CVE-2023-41265 bewertet wurde. Dass die aktuelle Kampagne exakt eine dieser Lücken „blind“ trifft, ist in der Meldung noch nicht bestätigt; stattdessen bleibt die konkrete Einstiegsschwachstelle zunächst offen.
Die beobachtete Payload-Logik beginnt mit einer PowerShell-Zeile, die eine Reverse-Shell aufbaut und dazu eine Ziel-IP nutzt: „45.115.26[.]23“ auf Port 4455. Ausgeführt wurde das Kommando offenbar unter scheduler.exe, was für eine gewisse Verwandtschaft zu den Qlik-Intrusionen aus 2023 spricht. Obwohl das reine Spawn der Reverse Shell im Testkontext blockiert wurde, zeigte die Analyse eines kontrollierten Reverse-Shell-Setups, dass der interaktive Kanal für zwei Aufgaben missbraucht werden soll: zum einen für Reconnaissance, also das Sammeln von System- und Prozessinformationen, und zum anderen für die Übergabe eines PowerShell-Skripts, das Persistenz ermöglicht. Dabei kommt eine Windows-Go-Reverse-Shell zum Einsatz, die eine zweite Verbindung aufbaut und damit die Backdoor-Nachrichten an eine weiterführende Endpunktadresse weiterleitet: „45.115.26[.]23:4456“.
Ab dann wird die Kompromittierung stärker in Richtung Infrastruktur-Erweiterung gedreht. Laut Analyse sucht die Schadsoftware nach aktiv laufenden Prozessen, die mit Apache ActiveMQ zusammenhängen. Auf Linux-Systemen versucht der Code zudem, Systeminformationen zu sammeln und gezielt auf Dateien wie „/etc/shadow“ und „/etc/passwd“ zuzugreifen. Damit ist der Angriff nicht nur auf „Erreichbarkeit“ ausgelegt, sondern auf das Gewinnen von Basiswissen über das Zielsystem und potenziell auch auf privilegierte Eskalationswege. Zusätzlich gibt es eine zweite Variante des PowerShell-Skripts: Es soll OpenSSH installieren und außerdem einen geplanten Task anlegen, der „WinUpdCheck“ heißt. In Intervallen von fünf Minuten startet dieser Task ein weiteres PowerShell-Skript, das unter einem Pfad wie „C: \ProgramData\sshwinc.ps1“ abgelegt sein soll.
Für den Fall, dass sshd nicht verfügbar ist, beschreibt die Meldung einen Fallback-Mechanismus: Dann wird offenbar OpenSSH-Win64.zip von einem Staging-Server geladen, entpackt und anschließend über install-sshd.ps1 installiert. Danach wird sshd auf automatischen Start gesetzt, der Dienst gestartet und eine Firewall-Regel für TCP 22 ergänzt. Auffällig ist dabei die Aussage, dass das Archiv ein legitimes OpenSSH-Paket gewesen sei, das vom Angreifer lediglich wiederverwendet wurde. Solche „living off the land“-Ansätze erhöhen die Wahrscheinlichkeit, dass vorhandene Telemetrie nicht sofort anschlägt, weil ein bekanntes Softwareartefakt genutzt wird. Weiterführende Infrastruktur-Untersuchungen deuten außerdem auf einen exponierten Verzeichnisbereich hin, der unter einer Adresse wie „45.115.26[.]23:8012“ erreichbar war. Dort sollen ein benutzerdefinierter Go-Backdoor für Windows, SSH-Persistence-Skripte, ein ActiveMQ-Exploit für CVE-2023-46604 sowie ein modifizierter Veeam-Toolchain-Ansatz für CVE-2024-40711 liegen. Genau diese Kombination legt nahe, dass der Angreifer möglicherweise ein abgestuftes Einsatzszenario vorbereitet, das über den Qlik-Zugriff hinausreichen könnte.
Für Betreiber bedeutet das in der Praxis vor allem eine zweigeteilte Priorisierung: Erstens müssen Qlik Sense Installationen nicht nur auf gemeldete Patches hin geprüft werden, sondern auch darauf, ob die betroffenen Komponenten wirklich vollständig und korrekt aktualisiert wurden. Zweitens lohnt ein Blick auf die Folgeschicht – also auf Hinweise, dass ActiveMQ-Prozesse existieren, wie Persistenzmechanismen (Scheduler-Tasks) umgesetzt werden und ob Anzeichen für OpenSSH-Installation oder eingehende SSH-Verbindungen auftauchen. Da die Reverse-Shell im Bericht zwar gebremst wurde, aber die Kommunikations- und Skriptkette erkennbar blieb, ist davon auszugehen, dass Sicherheitsmaßnahmen die „erste“ Stufe abfangen können, nicht jedoch unbedingt die nachgelagerten Schritte. Unternehmen sollten deshalb auch für die Detektion Indikatoren priorisieren, die zu den beschriebenen Pfaden und Ports passen, beispielsweise ungewöhnliche PowerShell-Aufrufe unter scheduler.exe sowie wiederkehrende Tasks im Fünf-Minuten-Takt.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Qlik-Sense-Server im Visier: Reverse-Shells, ActiveMQ- und Veeam-Exploits" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Qlik-Sense-Server im Visier: Reverse-Shells, ActiveMQ- und Veeam-Exploits" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Qlik-Sense-Server im Visier: Reverse-Shells, ActiveMQ- und Veeam-Exploits« bei Google Deutschland suchen, bei Bing oder Google News!